当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-08333

漏洞标题：奇虎360任意用户密码修改漏洞

相关厂商：奇虎360

漏洞作者： 牛奶坦克

提交时间：2012-06-15 15:36

修复时间：2012-07-30 15:36

公开时间：2012-07-30 15:36

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-06-15： 细节已通知厂商并且等待厂商处理中
2012-06-15： 厂商已经确认，细节仅向厂商公开
2012-06-25： 细节向核心白帽子及相关领域专家公开
2012-07-05： 细节向普通白帽子公开
2012-07-15： 细节向实习白帽子公开
2012-07-30： 细节向公众公开

简要描述：

奇虎360用户通行证取回密码存在逻辑问题，导致可以修改任意用户的密码。
怕影响别的用户帐号安全，所以只用了3个朋友的帐号进行测试，均成功。
360的业务线也很广了，比如360安全卫士系统云备份，云盘存储，网站宝，团购等项目，利用这个sso漏洞可以通杀，危害还是很严重的。

详细说明：

先正常流程取回一次密码，查看邮箱，邮件内容类似：

360个人中心找回密码（重要）！
重设密码地址：http://i.360.cn/findpwd/setpwdfromemail?vc=c4ce4dd3d566ef83f9[马赛克]&u=[马赛克]%40gmail.com,马上重设密码！
如果您没有进行过找回密码的操作，请不要点击上述链接，并删除此邮件。


vc可以看出是一串md5，解密一下发现是个数字，类似1339744000，第一感觉是个id，那么遍历id并且修改u变量是否可以修改任意用户密码呢，试了一下不可以，在看这个数字，感觉有点太大了，在看，在看，在看，怎么像是个unix时间戳呢？
解开一下发现真的是个时间戳！那么可以大胆的猜测一下此处的流程，用户取回密码时，产生一个精确的时间戳，与帐号绑定，记录在某个密码重置库内，那么修改这个用户密码必须得知道这个时间戳才可以，看似合理，但程序员忽略了一个细节，就是假如这个时间戳是新生成得，我在一定得时间段内进行暴力猜解，很快就可以获取到这个有效得链接！
写了个exp测试一下。

漏洞证明：


打开果然是


修改密码后跳到了登陆首页，用刚刚修改得密码登陆


Bingo~看看其他应用。


奇怪，不是sso，但是既然知道了密码，so不o的无所谓啦。
PS:另外发现了一个小小的问题，如果某个重置密码链接未使用的话，时间戳貌似不会失效，这样给预测带来了点麻烦，但这只是时间问题。

修复方案：

不可预测性没有做到位，设计之初就做错了，真是。。。

版权声明：转载请注明来源 牛奶坦克@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2012-06-15 15:52

厂商回复：

感谢您对360的支持，我们正在修复该问题...

最新状态：

暂无

漏洞评价：

评论

  1. 2012-06-15 15:37 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    我信洞主

  2. 2012-06-15 15:40 | Jannock 认证白帽子 ( 核心白帽子 | Rank:2278 漏洞数:204 | 关注技术与网络安全（招人中，有兴趣请私信...)

    太牛了。。。

  3. 2012-06-15 15:50 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    洞主很牛~~~

  4. 2012-06-15 15:56 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    这个修改任意用户密码的才11分？

  5. 2012-06-15 15:58 | Jannock 认证白帽子 ( 核心白帽子 | Rank:2278 漏洞数:204 | 关注技术与网络安全（招人中，有兴趣请私信...)

    @xsser 看来用户不重要呀。。。

  6. 2012-06-15 18:15 | lanz ( 路人 | Rank:26 漏洞数:5 | whatever)

    好可怕..

  7. 2012-06-15 18:20 | 鱼化石 ( 实习白帽子 | Rank:93 漏洞数:18 | 介绍不能为空)

    细节SSO

  8. 2012-06-15 18:51 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    .。 = = 为什么才 11 rank 。。。，看来360的用户信息没价值。

  9. 2012-06-15 18:55 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    神人出现鸟。

  10. 2012-06-16 08:42 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    @gainover @Jannock @xsser 360觉得我的用户，账号、密码神马的对我来说不重要；他们的资料，我要有就有~~该装机的还是会装~

  11. 2012-06-16 10:48 | king ( 路人 | Rank:15 漏洞数:2 | 喜爱安全，网络游戏安全应用漏洞挖掘)

    重置新密码 到邮箱 这个可以考虑下，如一般的取回密码参数含义被人知晓，就很容易绕过了。。

  12. 2012-06-16 10:52 | king ( 路人 | Rank:15 漏洞数:2 | 喜爱安全，网络游戏安全应用漏洞挖掘)

    这个漏洞干嘛不爆到他们平台上，应该有几千的奖金吧！！

  13. 2012-06-16 11:14 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @king 真正为了钱，就不会来乌云了。

  14. 2012-06-16 11:27 | king ( 路人 | Rank:15 漏洞数:2 | 喜爱安全，网络游戏安全应用漏洞挖掘)

    这个漏洞应该还有些附加条件，要知道 账号名字和注册的邮箱吧！！这样的漏洞貌似一大堆！！

  15. 2012-06-16 12:20 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @king 几百块就掩饰那么大的漏洞，厂商还挺值

  16. 2012-06-16 12:22 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @xsser 囧，用户不值钱，还是厂商不值钱？

  17. 2012-06-16 13:26 | king ( 路人 | Rank:15 漏洞数:2 | 喜爱安全，网络游戏安全应用漏洞挖掘)

    这个往往出现常规式的加密方式不对，如时间，别人找到这个常规加密方式，在伪造一个加密窜就可以绕过，可以使用无规律的加密机制！！让人无法构造就可以避免，刚随便测试几个，都有类似情况，只要构造个他加密方式发送一个找回的功能，就可以成功

  18. 2012-06-16 13:55 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @king 乌云吧，更多人了解才可以避免

  19. 2012-06-16 14:22 | 牛奶坦克 ( 普通白帽子 | Rank:355 漏洞数:21 | 晚安,牛奶)

    @king 是的，当然你要先知道你要修改谁的账号了。

  20. 2012-06-16 14:34 | king ( 路人 | Rank:15 漏洞数:2 | 喜爱安全，网络游戏安全应用漏洞挖掘)

    http://zone.wooyun.org/content/406 不知道这样讲，大家理解不理解，欢迎一起讨论

  21. 2012-07-02 21:08 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    有木有来个腾讯任意修改用户密码？那就帅了！

  22. 2012-07-17 09:02 | 凤凰 ( 路人 | Rank:15 漏洞数:6 | 涅磐)

    给的rank太少了~~大胆猜测为了避免吸引更多人测试

  23. 2012-07-17 10:52 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    原来，果然还是要有流氓的思想，才能做大黑客

  24. 2012-07-17 13:31 | Cp0204 ( 实习白帽子 | Rank:37 漏洞数:4 | 著名艺术家)

    太无所谓了，下次该改客服的密码，懂吧

  25. 2012-07-17 14:02 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    。。。这个起码也价值几十万吧，还是说用户信息在60兄看来，就这么一文不值。。。

  26. 2012-07-17 14:07 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @px1624 只值一文

  27. 2012-07-17 21:55 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @xsser 话说腾讯，我提交了一个漏洞他们都确认一个半月了，已经公开了。现在还没修补、、

  28. 2012-07-30 16:51 | _Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)

    @xsser 图虫网也很像时间戳。

  29. 2012-07-30 16:54 | _Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)

    @xsser 不过他们的时间戳戳了几次的

  30. 2012-07-30 20:00 | softbug ( 实习白帽子 | Rank:66 漏洞数:10 | 为人类设计最好的软件，解放人的双手,一起...)

    only_guest 你的那篇pdf很不错啊

  31. 2012-07-30 21:09 | 鬼哥 ( 普通白帽子 | Rank:136 漏洞数:13 | 鬼哥 ！！！！)

    哎

  32. 2012-08-01 17:10 | Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)

    rank 11?!!!!!!!!!!

  33. 2012-08-01 17:22 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @Passer_by 嗯，你没看错，rank是11 。。。